Das Risiko, das sich aus der Abhängigkeit von externen Datenanbietern, Modelllieferanten oder Dienstleistungsplattformen ergibt, die möglicherweise Compliance- oder Sicherheitsanfälligkeiten einführen.
Umfasst eine Due-Diligence-Prüfung der Datenschutzpraktiken von Anbietern, der Sicherheitskontrollen und des Reifegrads ihrer Governance. Vertragliche Maßnahmen umfassen SLAs, Audit-Rechte und Freistellungsklauseln. Governance-Teams pflegen ein Drittanbieterregister, führen regelmäßige Risikobewertungen durch (z. B. SOC-2-Berichte) und überwachen die Leistung der Anbieter. Anbieter mit hohem Risiko lösen eine erweiterte Aufsicht aus: Penetrationstests, Compliance-Audits und Notfallpläne für den Ausfall von Anbietern.
Das KI-Team einer Bank bewertet eine externe API zur Betrugserkennung, indem es deren SOC-2-Type-II-Bericht prüft, einen Sicherheitsfragebogen durchführt und ein Ethical-AI-Audit ihres Modells vornimmt. Der Anbieter wird als „Hohes Risiko“ eingestuft, was vierteljährliche Re-Audits sowie einen Ausweichplan erfordert, um bei nachlassender Einhaltung der Standards auf eine unternehmensinterne Lösung umzusteigen.
